Datenpanne – was tun?

Sie sind Hacking- oder Phishing-Opfer? Kundendaten sind betroffen? Dann heißt es schnell, transparent und konsequent zu handeln. Denn nach DSGVO drohen empfindliche Strafen. Sind Sie richtig vorbereitet? Eine Checkliste.

Es passiert manchmal trotz aller Vorsicht: Sie oder Mitarbeitende in Ihrem Unternehmen werden Opfer von Hacking, Phishing oder Datendiebstahl. Auch wenn Sie zuvor verantwortlich alle empfohlenen Sicherheitsmaßnahmen ergriffen haben (z. B. Passwortschutz und Vorkehrungen gegen Phishing und Hacking, können Ihnen empfindliche Strafen drohen. Nämlich dann, wenn Sie die in der Datenschutzgrundverordnung (DSGVO) vorgeschriebenen Meldefristen über den Vorfall nicht beachten. Allein in Deutschland wurden bei Verstößen gegen die DSGVO bereits Bußgelder in Höhe von mehr als 70 Mio. Euro verhängt.

DSGVO-Verstöße: Hohe Bußgeldsummen (in Euro)

Vorbereitet für den Ernstfall

Nicht jede Datenpanne, die im Berufsleben auftritt, ist eine Datenschutzverletzung. Wenn Sie Kontaktdaten Ihrer Kunden auf dem Smartphone gespeichert haben und dieses beim Segelurlaub unwiederbringlich im Meer versinkt, können Sie diese Daten einfach auf einem neuen Endgerät wiederherstellen. Zum Beispiel mit Ihrem Backup auf dem Computer. Da niemand unbefugt von personenbezogenen Daten Kenntnis erlangt, liegt keine Datenschutzverletzung vor. Nach dem Gesetzgeber ist die „Verletzung des Schutzes personenbezogener Daten eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.“

Wenn aber eine Datenschutzverletzung vorliegt, sind Eile und Sorgfalt geboten. Definieren Sie also – ggf. mit Ihren Mitarbeiterinnen und Mitarbeitern – Routinen, die im Ernstfall eingehalten werden müssen. Ob diese das Handeln eines benannten Datenschutzbeauftragten oder von Ihnen in der Leitungsfunktion Ihres Unternehmens einschließen, hängt auch von der Betriebsgröße ab.

Leider bleibt der Bereich der gelb gekennzeichneten Zweifelsfälle – wie so oft – recht groß. Nutzen Sie die Beispiele unten, um die Schwere eines Vorfalls besser einschätzen zu können. Wenn Sie unsicher sind, sollten Sie betroffene Kunden klar und eindeutig informieren und dann auch nicht die Meldung an die Aufsichtsbehörde vergessen.

Checkpunkt 6:  Die Entscheidung über die Meldung fällen

Wer in Ihrem Unternehmen in der Verantwortung für den Datenschutz steht, muss aufgrund der Sachlage eine Entscheidung für oder gegen die Meldung treffen. Wenn nicht gemeldet wird, immer dokumentieren, welche Gründe unter der oben dargestellten Risikoabwägung gegen die Meldung sprechen. So sind Sie auf der „sicheren“ Seite.

Checkpunkt 7: Die Datenschutzverletzung rechtzeitig melden

Fällt die Entscheidung für eine Meldung, ist zügiges Handeln geboten. Binnen 72 Stunden nachdem Sie Kenntnis von einer meldepflichtigen Datenschutzverletzung erhalten haben, muss die Meldung bei Betroffenen und der Aufsichtsbehörde für den Datenschutz im Bundesland ihres Geschäftssitzes eingehen.

Die Zeit läuft: Meldefrist beachten

Ihre Meldung sollte mindestens die folgenden Inhalte umfassen:

• Beschreibung der Art der Datenschutzverletzung. Sofern es möglich ist, geben Sie die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze an.
• Namen und Kontaktdaten Ihres Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen.
• Beschreibung der wahrscheinlichen Folgen der Datenschutzverletzung; Was kann für Ihre Kunden passieren?
• Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und ggf. Maßnahmen zur Abmilderung der Folgen und Schäden.

Checkpunkt 8:  Aus Fehlern lernen

Natürlich haben die Vermeidung von Schäden, die rechtzeitige Meldung und die Beseitigung von Schäden oberste Priorität. Doch dann gilt es, den Vorfall genau zu analysieren. Nur so lassen sich Fehlerquellen in Zukunft vermeiden, Gefahrenquellen abstellen und Verbesserungen in den Prozessen gezielt umsetzen.